FulcrumSec、マンチェスター空港グループ侵害の犯行声明を発表

英国の最大手空港グループへの侵害について犯行声明を出している脅威グループが、盗み出した550GB分のデータのほぼすべてをオンライン上に流出させたとみられます。

FulcrumSecはリークサイトにデータをダウンロード可能な形で投稿し、MAG(Manchester Airport Group)の顧客に関する非圧縮データ約549GBを保有していると主張しました。同グループはこれを「純粋なPII(個人識別情報)」だとしています。

このグループの主張が事実であれば、今回の投稿はこれまで情報が限られていたこの事件について、さらに詳しい実態を明らかにするものとなります。

同グループによると、初期侵入が可能になったのは、3つの空港のウェブサイトそれぞれのフロントエンドJavaScript内に、顧客エンゲージメントプラットフォームIterableの管理者キーを発見したことがきっかけだったといいます。

「これらのキーは、Arup GroupやNovo Nordiskへの侵害の際の認証情報のように、どこか目立たないサブドメインにあったわけではありません。3社すべてにおいて、サイトのルートドメインに置かれていたのです」と、同グループは声明で説明しています。

「サブドメインの列挙もURLのクロールも必要ありませんでした。サイトを訪れた何百万人もの訪問者の誰もが、右クリックして『検証』を選ぶだけで、これらのキーが白日の下にそのまま置かれているのを目にすることができたはずです。しかも3つのウェブサイトすべてで、です」

MAGはマンチェスター空港、スタンステッド空港、イーストミッドランズ空港を運営しています。

FulcrumSecの投稿ではさらに、MAGが当初公表していたよりもはるかに広範な顧客情報を入手したとも主張しています。

同グループの発表によれば、メールアドレス、氏名、携帯電話番号、居住地の町名、郵便番号、自宅のIPアドレスを含む、約870万件の顧客プロフィールを窃取したとしています。こうした情報があれば、被害者を狙った説得力のあるフィッシング攻撃の足がかりになりかねません。

今回のデータ漏えいでは、他にも以下の情報が流出したと主張されています。

旅行者への物理的な危険

FulcrumSecはさらに、旅行日程、PII、車両情報を含む約19万1,000件の将来の予約データも保有していると主張しています。これらの情報があれば、犯罪者が休暇旅行者の自宅を物理的に狙うことも可能になるとしています。

予約に紐づくメールアドレスから判断すると、こうした個人の中には著名人、政治家、軍関係者も含まれている可能性が高いとも述べています。

「残念ながらMAGは、乗客のデータを守るために必要な料金の支払いを拒否しました。そのため私たちは、公開前に最も機微な部分……をリークから削除せざるを得ませんでした」と、同グループは付け加えています。

このグループの主張はまだ完全には検証されておらず、MAGも8月27日の当初の発表以降、続報を出していません。